WindowsのGDID追跡を消すツール公開。代償はサービスの機能不全
VPN企業Windscribeが、WindowsのGDIDを削除し再生成を阻止するオープンソースツール「deGDID」を公開した。ただしMicrosoftアカウント関連のサービスが壊れる。
VPN企業Windscribeが、WindowsのGDIDを削除し再生成を阻止するオープンソースツール「deGDID」を公開した。ただしMicrosoftアカウント関連のサービスが壊れる。
GDIDに「オフ」がない
GDID（Global Device Identifier）は、MicrosoftがWindowsに割り当てる固有の識別子だ。VPNが守る層よりも下で動いており、IPアドレスが変わっても、この番号はMicrosoftのサーバーに記録され続ける。
GDIDが広く知られたのは、サイバー犯罪グループScattered Spiderのメンバーとされるピーター・ストークス（Peter Stokes）容疑者の逮捕がきっかけだった。現地時間7月1日に開封された連邦告訴状で、FBIがGDIDを使って容疑者のPCをVPN越しに追跡した事実が明らかになった。
犯罪捜査としては機能した。だがこの事件で、約16億台のWindows PCすべてに、ユーザーの同意なく、無効化手段もなく埋め込まれた追跡の仕組みが公になった。Apple端末の広告IDにはリセットと無効化がある。AndroidのIDにも同様の手段がある。WindowsのGDIDにはどちらもない。
Windscribeはこの状態を放置できなかった。自社が提供するプライバシー保護の前提が、OSの内側から壊されている。現地時間7月27日、WindscribeはdeGDIDを公開した。
レジストリを消しても再生成される
deGDIDはGitHubで公開されているPowerShellスクリプトだ。MITライセンスで配布されており、管理者権限で実行する。
GDIDのレジストリ値を手動で消すだけでは不十分だと、Windscribeはラボ実験で確認している。レジストリの明示的な値を消しても、再起動やMicrosoftのサーバーとの通信時にGDIDが自動で再生成される。
GDIDに関連する状態はOS内部に広く散らばっている。IdentityCRL、デバイスチケット、資格情報マネージャー、SYSTEMと.DEFAULTハイブ、ConnectedDevicesPlatform、TokenBroker。一か所を消しただけでは、Windowsが別の場所から継続性を再構築するという。
deGDIDの–Protectフラグは2段階で動く。
まずhostsファイルとWindowsファイアウォールの規則を追加し、Microsoftのデバイス登録経路DeviceAdd（login.live.comを含む）を遮断する。その上で、レジストリ上のGDIDキャッシュと関連するID状態を一括消去する。
順序が重要で、先に消去すると通信時に即座に再生成される。遮断してから消す。
–StatusフラグはGDIDが存在するかどうかを確認するだけの読み取り専用モードで、–Unprotectで元の状態に戻せる。
壊れるもの、残る問題
DeviceAdd経路の遮断は、Microsoftアカウント関連のサービスを認証不能にする。Windscribeのラボ検証とTom's Hardwareの実機テストの両方で、Microsoft Store、Xbox認証、OneDrive、Phone Linkの接続障害が確認されている。login.live.com経由のアカウント認証もブラウザ横断で遮断される（ただしlogin.microsoftonline.comは動作する）。
OS自体のデスクトップ操作やゲーム、一般のアプリは影響を受けなかった。Windows Updateの取得とDefenderの署名更新も、部分的なテストでは動作している。
| 機能 | 状態 |
|---|---|
| 遮断される | |
| Microsoft Store | × |
| Xbox認証 | × |
| OneDrive | × |
| Phone Link | × |
| MSアカウント認証 | × |
| 動作する | |
| デスクトップ操作 | ○ |
| ゲーム・一般アプリ | ○ |
| Windows Update | △ |
| Defender署名更新 | △ |
ただ、deGDIDの限界は明確だ。
既にMicrosoftのサーバーに送信されたGDIDは消せない。deGDIDが処理するのはローカルの状態だけで、サーバー側の記録はMicrosoftが保持し続ける。未知のGDID保存場所がOS内部に残っている可能性もWindscribe自身が認めている。
ドメイン参加・Entra参加・MDM管理下のPCでは実行を拒否する設計で、企業環境では使えない。
Windscribeはこのツールを研究プロジェクトと位置づけている。完全な解決策ではなく、「GDIDの継続性を断ち切り、再発行を阻止する」という限定された目標に対する、現時点で可能な対処だ。
VPN企業が対抗ツールを作る異常さ
ストークス容疑者の事件で、MicrosoftがGDIDとIPアドレスの対応を捜査機関に提供していたことが確認された。VPNでIPアドレスを隠していても、WindowsがMicrosoftと通信するたびにデバイスの身元がひも付けられていた。
WindscribeがdeGDIDを作った理由はここにある。GDIDはVPNのトンネルを「見透かした」のではない。VPNが保護する層の外で動いていた。Microsoftアカウントにひも付くセッションが1つでもあれば、その前後のすべての通信がGDIDで連結される。
GDIDを止めようとすると、Microsoftのサービスが壊れる。止めなければ、VPNの保護は不完全なままだ。この二択が生まれる時点で、無効化トグルの不在はMicrosoftの設計上の選択に見えてくる。
OSに無効化スイッチがない追跡を止めるために、外部の開発者がOSの内部構造を解析してスクリプトを書き、Microsoftのサービスを犠牲にしなければならない。その構造が、GDIDの異質さそのものを証明している。
